Dankzij AI kan vrijwel iedereen software maken, maar wij gaan je uitleggen hoe je die veelbelovende nieuwe app kunt controleren, voor jouw gegevens zomaar op straat liggen.
Eerst de open deur. AI platformen zorgen voor gigantische veranderingen in uiteenlopende industrieën en markten. Maar misschien nog wel het meest die van software developers. ‘Vibecoden’ als term komt voor het eerst voor in februari 2025. Binnen een paar maanden maakte al 84 procent van de developers gebruik van AI voor zijn werk, of was het van plan dat op korte termijn te doen.
Op papier is het natuurlijk heel logisch waarom developers dat doen. AI doet al het saaie en repetitieve werk, waardoor de developers hun creativiteit echt goed kunnen inzetten. Maar de komst van vibecoden zorgt er ook voor dat mensen zonder ervaring aan het coderen slaan, zonder dat ze fouten of kwetsbaarheden kunnen herkennen. En voor de developers die omkomen in het werk, kan de technologie een vals gevoel van veiligheid geven. Bovendien zien de platforms waarop de software wordt verspreid, dit soort fouten ook vaak over het hoofd.
Dat betekent dat alle verantwoordelijkheid leunt op de schouders van de gebruikers. Zij zouden hun apps beter moeten controleren en beoordelen dan voorheen misschien al deden. Maar wat zijn nou de zaken waar je op moeten letten, welke risico’s zijn er en wat zijn de juiste vragen die je hardop zou moeten stellen.
Veelvoorkomende fouten met vibecoden
Tools waarmee je kunt vibecoden nemen het minder nauw met kwaliteit. Ze zijn er vooral op gericht functioneel te werken en er mooi uit te zien. Daardoor kunnen vervelende fouten in het eindproducten sluipen. Denk bijvoorbeeld aan:
- Geheime gegevens zoals API-sleutels (digitale sleutel waarmee de door AI gebouwde app gebruik kan maken van andere diensten) die rechtstreeks te vinden zijn in de code van de app. Kwaadwillenden kunnen die dan vinden, soms geautomatiseerd. En daarmee kunnen ze misschien wel bij de achterliggende gegevens van systemen van de ontwikkelaar en dan gebruiksgegevens vinden die daar opgeslagen staan. Misschien ook wel die van jou!
- Geen controle op ingevoerde gegevens of toegang tot de app. Daardoor kan een app schadelijke invoer van iedereen accepteren of toegang geven tot data van anderen, die bekijken of aanpassen.
- Standaardinstellingen die op openbaar staan, waardoor gebruikers de profielen en privégegevens van andere gebruikers kunnen bekijken.
- Zwakke of überhaupt ontbrekende encryptie, waardoor gestolen of onderschepte data van een app makkelijker te lezen en misbruiken zijn.
- Geen limieten op inlogpogingen, waardoor hackers brute force-aanvallen kunnen uitvoeren met geautomatiseerde software of heel vaak zelf kunnen proberen om wachtwoorden te raden.
Apps die gevibecoded zijn kunnen ook vatbaar zijn voor promp injection. Dat zijn aanvallen gericht op AI chatbots, waarbij opdrachten tot kwaadaardig gedrag worden verstopt in de instructies of stukken tekst of andere online content die chatbots tegenkomen. Die zien wij als gebruiker niet, of over het hoofd, maar de chatbot krijgt die kwaadaardige instructie wel. Als een chatbot toegang heeft tot privégegevens of logins (zoals bijvoorbeeld een AI agent als OpenClaw) dan kan dat lelijke gevolgen hebben.
Een verhaal als waarschuwing
Het blijft helaas niet bij theoretische risico’s. Appgebruikers zijn in het verleden vaker blootgesteld aan beveiligings- en privacy risico’s nadat ontwikkelaars fouten maakten.
Dit jaar nog ging het mis bij het Zweedse vibecode-bedrijf Lovable. Daar vond een beveiligingsonderzoeker zestien kwetsbaarheden in één app dat werd gehost op het platform. Zes ervan werden als kritieke kwetsbaarheid beoordeeld. Als gevolg ervan zijn de gegevens van 18.000 bezoekers gelekt. De onderzoeker wilde de app zelf niet bij naam noemen toen hij er melding van maakte, maar de app stond prominent op de Discover-pagina van Lovable en werd meer dan 100.000 keer bekeken. Lovable heeft de problemen uiteraard verholpen.
Wat kan er fout gaan met apps die gemaakt zijn door te vibecoden
De opsomming van hoe het mis kan gaan, is uiteraard niet volledig. Maar belangrijker dan de technische details, is de ellende die het downloaden van een app met fouten of kwetsbaarheden in potentie kan veroorzaken. Het kan leiden tot een datalek, financiële risico’s en misschien zelfs het installeren van malware. Een slecht geprogrammeerde app kan:
- Je wachtwoorden of session tokens onveilig opslaan, waardoor aanvallers toegang kunnen krijgen tot je account of het apparaat dat je gebruikt
- Onzorgvuldig omgaan met je persoonsgegevens (zoals je emailadres, je huisadres, identiteitsgegevens, etc.), waardoor hackers identiteitsfraude kunnen plegen.
- Andere gebruikers toegang geven tot jouw gegevens, met risico’s voor je privacy en mogelijke fraude tot gevolg.
- Jouw AI-prompts blootleggen met de eventuele gevoelige informatie die daarin te zien zijn.
- Jouw betaalgegevens lekken, waardoor iemand anders bij jouw rekening zou kunnen.
Wat zijn de juiste vragen die je moet stellen over apps die zijn gevibecoded?
De belangrijkste uitdaging is het controleren van de apps die je tegenkomt. Op sommige platfoms gelden strengere eisen en wordt strenger gecontroleerd dan op andere platforms. Als er een app op zo’n platform staat, wil dat nog niet zeggen dat het een veilige app is. Maar andersom geldt natuurlijk ook: als iets gevibecoded is, wil dat nog niet zeggen dat het een onveilige of zelfs gevaarlijke app is.
Het is dus belangrijk om een paar vragen te stellen zoals:
1. Wie is de ontwikkelaar? Is het een legitiem bedrijf. Hoe lang bestaan ze al? Zijn er goede reviews en heeft de maker een goede reputatie? Lees eens een paar van de negatieve reviews en check of er iets staat over de veiligheid of privacy. Als het een app is die ineens viraal is gegaan, dan zou het best eens wat risicovoller kunnen zijn om de app te gebruiken. Kijk ook of er een goede supportafdeling is voor het geval er iets misgaat.
2. Waar vraagt de app van jou als gebruiker? Kijk kritisch naar waar de app toestemming voor vraagt. Is dat logisch voor het soort app dat je wil gebruiken? De alarmbellen moeten afgaan als een rekenmachine vraagt om toegang tot je camera. Hoe meer toegang een app heeft tot gevoelige data, des te meer risico je in potentie loopt.
3. Wat zegt het privacybeleid van de maker? Als er al een privacybeleid is, dan is het de vraag of duidelijk beschreven staat welke data wordt verzameld, waar het opgeslagen wordt, wie er toegang heeft en hoe lang die data opgeslagen blijft. En tegelijkertijd wil je ook weten wat er gebeurt als je stopt met het gebruiken van de app. Worden de gegevens dan verwijderd? Gebeurt dat automatisch en na hoe lange tijd?
4. Hoe is de beveiliging georganiseerd? Als een app uitlegt hoe wachtwoorden en gevoelige gegevens worden beschermd, er een mogelijkheid is om kwetsbaarheden te melden en er beveiligingsupdates zijn, roept dat meer vertrouwen op dan een app die dat niet heeft. Maar het gaat wel echt om basisvoorwaarden.
5. Als het AI gebruikt, waar kan het dan bij? Het is een heel belangrijke vraag om jezelf te stellen. Want het antwoord bepaalt hoeveel risico je loopt bij prompt injection. Hoe meer toegang een AI agent of chatbot heeft, van toegang tot gevoelige gegevens en het sturen van berichten, tot het doen van aankopen, des te meer risico je loopt als je agent gekaapt wordt.
Wat moet ik doen als ik een app heb gebruikt die al gehackt is?
Ook als het te laat is en een app al misbruikt wordt door kwaadwillenden, kun je stappen zetten om de schade te beperken.
Bij een app die slecht geprogrammeerd is, ontstaat het datalek doorgaans op de server van de ontwikkelaar. Dus begin eerst met je account en je inloggegevens. Als je nog kunt inloggen, moet je je wachtwoord wijzigen. Dien daarna een verzoek in tot verwijdering van je account. Dat is belangrijk, want het verwijderen van de app van je telefoon of computer, maakt nog niet dat jouw gegevens ook verdwijnen bij de ontwikkelaar.
Heb je het wachtwoord van de betreffende app vaker gebruikt bij andere apps of websites? Pas de wachtwoorden daar dan ook zo snel mogelijk aan. En zet vooral tweestapsverificatie aan waar je kunt. Trek ook machtigingen voor gekoppelde accounts in, zoals je kunt doen met ‘Inloggen via Apple of Google’.
Het is ook belangrijk dat je je bankrekening controleert op verdachte transacties. En houd ook je andere online accounts in de gaten voor potentieel misbruik. Denk bijvoorbeeld aan bestellingen uit jouw naam die je niet hebt gedaan.
Gaan de alarmbellen aan als je zelf een app achteraf onderzoekt, verwijder hem dan. Als je een Android-apparaat hebt, voer dan een scan uit met betrouwbare beveiligingssoftware. En lukt het niet om een app te verwijderen, dan kun je als ultieme middel nog overwegen je apparaat terug te zetten naar de fabrieksinstellingen.